Перейти к содержанию

3-D Secure

Материал из Википедии — свободной энциклопедии
Mastercard Identity Check

3-D Secure — протокол, используемый как дополнительный уровень безопасности онлайн-кредитных и дебетовых карт для двухфакторной аутентификации пользователя.

Технология была разработана для платежной системы Visa с целью повышения безопасности интернет-платежей в рамках услуги Verified by Visa (VbV). Услуги, основанные на данном протоколе, были приняты платежными системами Mastercard под названием Mastercard SecureCode (MSC), JCB International как J/Secure, AmEx как SafeKey, а также «Мир» (НСПК) как MirAccept. American Express добавила 3-D Secure 8 ноября 2010 года под названием American Express SafeKey, первоначально сделав технологию доступной лишь на некоторых рынках. Платежная система «Мир» изначально лицензировала реализацию первой версии протокола у VISA, однако в 2016 году самостоятельно реализовала поддержку 3-D Secure 2.0 и начала предоставлять её под названием MirAccept[1].

3-D Secure добавляет ещё один шаг аутентификации для онлайн-платежей, позволяющий торговым точкам и банкам дополнительно убедиться, что платеж совершает именно держатель карты. Это необходимо для защиты от мошеннических операций[2].

Протокол 3-D Secure не следует путать с кодом CVV2 или CVC2, который напечатан на обратной стороне карты.

3-D Secure не является абсолютной защитой денежных средств при CNP-операциях (card not present). Например, одноразовый код может быть перехвачен вредоносным программным обеспечением. Кроме того, технологию 3-D Secure поддерживают не все банки и торговые площадки, поэтому многие товары и услуги можно оплатить картой без ввода кода подтверждения, что ограничивает эффективность данной технологии[3].

По состоянию на июль 2016 года технологию поддерживали банки из 195 стран мира[4].

Описание с точки зрения пользователя

[править | править код]

Для держателя карты банка, поддерживающего 3-D Secure, в процессе онлайн-оплаты к стандартному вводу реквизитов добавляется запрос на подтверждение операции. Как правило, пользователь перенаправляется на защищенную страницу банка-эмитента карты, либо форма подтверждения выводится непосредственно на сайте магазина через iframe[5][6]. Отображение этой страницы осуществляется компонентом ACS (англ. Access Control Server — сервер контроля доступа), расположенным на стороне банка-эмитента.

От держателя требуется ввести код подтверждения, предоставляемый банком для каждой отдельной операции. Чаще всего код доставляется в SMS-сообщении или push-уведомлении на привязанный к карте номер мобильного телефона[7][4]. Возможны и другие варианты получения кода: генерация с помощью микропроцессорных карт, использование скретч-карт с одноразовыми паролями или аппаратных токенов[7][4]. Ряд банков использует систему постоянных паролей, задаваемых пользователем при регистрации, однако этот метод считается менее надёжным по сравнению с одноразовыми кодами. Формат кода 3-D Secure зависит от банка-эмитента. Постоянные пароли обычно состоят из 4—10 букв и цифр, одноразовые — из 6—8 цифр[8].

После ввода данных сервер контроля доступа (ACS) проверяет правильность кода[4] и возвращает пользователя на страницу платежного сервиса или интернет-магазина. Одновременно с этим банку-эквайеру через платёжную систему передаётся подтверждение об успешной (или неуспешной) авторизации. На основании этих данных банк-эквайер списывает (блокирует) денежные средства или отказывает в проведении операции.

В версии протокола 3-D Secure 2.0[9] процедура верификации была усовершенствована: код запрашивается не для всех операций. Часть транзакций проводится в фоновом режиме без участия пользователя. Выбор режима зависит от скоринговых систем оценки рисков банка и торгово-сервисного предприятия. Это повышает конверсию интернет-магазинов, снижая долю прерванных из-за сложностей с авторизацией покупок.

Особенности безопасности и риски

[править | править код]

Наличие у карты поддержки 3-D Secure не исключает возможности проведения платежей без дополнительной аутентификации. Если интернет-магазин или платёжный шлюз не поддерживает данную технологию (на сайте отсутствуют логотипы Verified by Visa, Mastercard SecureCode или MirAccept), оплата осуществляется исключительно по реквизитам, напечатанным на самой карте[10].

К таким реквизитам относятся: номер и срок действия карты, имя держателя и трёхзначный код CVV2 / CVC2. Таким образом, любое лицо, получившее доступ к физической карте или скопировавшее её данные, может совершать покупки на ресурсах, не требующих подтверждения по 3-D Secure.

Для минимизации подобных рисков в приложениях многих банков предусмотрена возможность управления лимитами на транзакции, в том числе полный запрет на проведение интернет-платежей без использования 3-D Secure.

При проведении мошеннической операции без дополнительного шага аутентификации по карте, поддерживающей 3-D Secure, применяется правило «переноса ответственности» (liability shift). В этом случае банк-эмитент имеет возможность оспорить транзакцию (чарджбэк) и вернуть денежные средства клиенту при его своевременном обращении.

Основные аспекты протокола

[править | править код]

Основная концепция протокола — добавление к процессу финансовой авторизации дополнительной онлайн-проверки подлинности субъекта. Эта проверка подлинности основана на принципе трёх доменов (отсюда «3-D» в названии)[11]:

  • Домен эквайера (домен продавца и банка, в который перечисляются средства);
  • Домен эмитента (домен банка, выпустившего карту);
  • Домен совместимости (interoperability domain) — домен, предоставляемый самой платёжной системой (Mastercard, Visa и т. д.) для поддержки маршрутизации в рамках протокола 3-D Secure.

Перенос ответственности

[править | править код]

В обычных транзакциях (без поддержки 3-D Secure) финансовую ответственность за операции по украденным картам несёт продавец (торгово-сервисное предприятие), на сайте которого была произведена покупка.

При использовании технологии 3-D Secure происходит «перенос ответственности» (liability shift). Если транзакция была оспорена, но при этом прошла аутентификацию 3-D Secure, ответственность за возмещение ущерба переносится на банк-эмитент, выпустивший карту, либо на самого держателя карты (в зависимости от правил банка, если будет доказано, что клиент сам скомпрометировал одноразовый пароль).

Примечания

[править | править код]
  1. ↑ PLUSworld ru-банковская розница, финансовое обслуживание и платежный рынок. Карты "Мир" получат технологию 3D Secure 2.0, не зависящую от Visa ». Plusworld.ru: финтех, банковская розница, финансовое обслуживание и платежный рынок (18 июля 2016). Дата обращения: 21 октября 2021.
  2. ↑ 3D-Secure // По материалам. / Банковская энциклопедия. 2013.
  3. ↑ Куда улетают деньги Архивная копия от 18 мая 2015 на Wayback Machine / Банки.ру, 2014.05.26
  4. 1 2 3 4 Банки.ру.
  5. ↑ MasterCard SecureCode. MasterCard (17 июня 2014). Дата обращения: 24 апреля 2020. Архивировано 2 июля 2021 года.
  6. ↑ Чуриков Л. 3D-Secure: кто в защите? Банки.ру (14 ноября 2012). Дата обращения: 24 апреля 2020. Архивировано 18 мая 2021 года.
  7. 1 2 Steven J. Murdoch, Ross Anderson. Verified by Visa and MasterCard SecureCode: Or, How Not to Design Authentication (англ.) // Financial Cryptography and Data Security / Radu Sion. — Berlin, Heidelberg: Springer, 2010. — P. 336–342. — ISBN 978-3-642-14577-3. — doi:10.1007/978-3-642-14577-3_27. Архивировано 21 января 2022 года.
  8. ↑ MasterCard, 2014, A-1.
  9. ↑ Архивная копия от 11 декабря 2016 на Wayback Machine EMV 3D Secure 2.0
  10. ↑ Альфа-банк. Как совершить покупку по карте Visa/MasterCard, если интернет-магазин не поддерживает технологию Verified by Visa/MasterCard SecureCode. Памятка по использованию карт, выпущенных ОАО «АЛЬФА-БАНК», для оплаты товаров и услуг в сети интернет. Альфа-банк. Дата обращения: 23 апреля 2015. Архивировано 21 февраля 2014 года.
  11. ↑ EMV® 3-D Secure (англ.). EMVCo. Дата обращения: 5 октября 2026.

Ссылки

[править | править код]

Стандарты и документация

Источник — https://ru.wikipedia.org/w/index.php?title=3-D_Secure&oldid=155447902